I dati di scadenza della carta sono il mese e l'anno stampati o memorizzati su una carta di pagamento che indicano a un terminale se la carta debba ancora essere accettata. Nei pagamenti con carta presente e contactless, la scadenza è uno dei controlli di base del ciclo di vita usati per rifiutare carte smarrite, vecchie o altrimenti non valide prima che continui l'autorizzazione.
È importante perché la scadenza non è solo un campo data; è un punto di controllo nel flusso di pagamento. Se un terminale, un kernel del lettore o un servizio backend la valida troppo tardi, in modo troppo permissivo o nel punto sbagliato, una carta scaduta può essere trattata come valida abbastanza a lungo da completare una transazione tap-to-pay. Gli aggressori cercano queste lacune logiche, mentre i difensori le testano verificando come terminali diversi gestiscono le carte scadute, la modalità offline e i casi limite nell'elaborazione contactless EMV.